– Jag tror att jag fick panik en kort sekund, men för min del handlade det om att ta ett par djupa andetag och sedan konstatera att jag inte har tid att ha panik för att en hel organisation med 20 000 medarbetare plus runt 9000 kunder och klienter är beroende av att vi ska göra jobbet, svarar Adam Nerell, CIO på Humana, på frågan om hur han först reagerade på nyheten om intrånget.
Bolaget polisanmälde genast händelsen samt kontaktade Integritetsskyddsmyndigheten, precis enligt de rekommendationer som kommer från bland annat MSB.
– Vidare kontaktade vi en extern partner, med vilken vi redan hade ett avtal klart – det var bara att rycka i det snöret. Samtidigt var vi tvungna att kommunicera till hela driftavdelningen att de skulle släppa allt de hade för att omgruppera, fortsätter han.
– Därefter jobbade vi i it-ledningen helt operativt med angreppet. Kommunikation och kontakt med myndigheter delegerades omgående till andra avdelningar inom företaget.
Det tog fyra dygn för Humana att helt bli av med angriparna och för Adam Nerells och resterande it-avdelningens del var dessa dagar fyllda med möten där det togs beslut om vad nästa steg skulle bli.
– Utifrån det läget som rådde då gjorde vi så gott vi kunde – men det ska också sägas att vi hade jobbat en hel del med säkerhet under året som löpt och var så förberedda vi kunde vara på den här typen av intrång.
Efter attacken har Humana som verksamhet fokuserat ännu mer på just säkerhet.
– Innan intrånget tog vi i större utsträckning hänsyn till att insatser likt de vi var tvungna att göra i all hast under intrånget kunde bli “jobbigast” för våra slutanvändare. Men så tänker vi inte längre. Vi hanterar känslig information i form av våra kunders uppgifter och vi måste göra allt i vår makt för att den inte ska läcka ut, säger Adam Nerell.
– Vi har också lärt oss att modellen som innebär att om du loggar in på ett ställe så är du inloggad överallt är gravt otillräcklig och direkt sårbar. Vi måste bli bättre på att segmentera och isolera. Begreppet för dagen är zero trust.
Han påtalar även att de siffror som ofta figurerar, om att det i allra högsta grad är slutanvändarens fel att ett intrång sker genom att den klickar på en länk i ett mail eller dylikt, inte är rättvis.
– Jag förväntar mig inte att ett vårdbiträde eller en ekonom ska vara en säkerhetsspecialist. Har vi ett system som tillåter slutanvändaren att göra så pass fel så att hela företaget blir hackat så är vi för dåligt skyddade.
Vilka tips har du till andra organisationer om (när) de skulle befinna sig i samma situation?
– Träna – det har man mycket för. Ha en tydlig strategi så att ni inte ens behöver fundera initialt. Vi hade till exempel en klar plan om att vi inte skulle betala angriparna, att vi skulle polisanmäla, och så vidare. Då kunde vi istället direkt börja fokusera på att åtgärda problemet, avslutar Adam Nerell.
